De maintainer die de bouw verzorgt voor Debian-pakketten met de wachtwoordmanagers KeePassXC, is overgestapt op het aanbieden van een sterk verkorte versie van het programma, waarin alleen de basisfunctionaliteit is behouden die nodig is voor veilige opslag van wachtwoorden op lokale systemen. Geavanceerde functies, waaronder de mogelijkheid voor netwerkintegratie, code voor IPC-beheer, componenten voor integratie met webbrowsers, functies voor automatische invoer van wachtwoorden en code ter ondersteuning van Yubikey-sleutels, zijn uit het standaardpakket keepassxc verwijderd, wat wordt uitgelegd als het elimineren van overtollige functionaliteit die de aanvallersoppervlakte vergroot en mogelijk negatieve gevolgen kan hebben voor de veiligheid en vertrouwelijkheid.
Voor gebruikers die de volledige versie van KeePassXC nodig hebben, is een apart pakket keepassxc-full aangeboden, dat alle geavanceerde mogelijkheden van de oorspronkelijke versie bevat. Het verkorte pakket is geplaatst in de Debian sid (unstable) en testing repositories in plaats van het oude volledige pakket met dezelfde naam, wat tot verontwaardiging heeft geleid bij sommige gebruikers die na de update geconfronteerd werden met het ontbreken van vertrouwde functionaliteit en de wijziging als een storing beschouwden. Ontevreden over de wijziging stellen de tegenstanders voor om de oorspronkelijke versie van het pakket in Debian terug te brengen, en de verkorte versie onder de naam keepassxc-minimal te plaatsen.
De ontwikkelaar van KeePassXC heeft ook kritiek geuit op het genomen besluit, die opmerkte dat gebruikers de afname van functionaliteit associëren met het hoofdproject en klachten indienen bij de ontwikkelaars van KeePassXC, in plaats van bij de maintainer van het pakket in Debian. De wijziging kan een negatieve impact hebben op de reputatie van KeePassXC en leiden tot een extra belasting voor de deelnemers aan het project. Bovendien is de vraag opgeworpen in hoeverre het rechtmatig is om een pakket te verspreiden met behoud van de naam van het project, maar met een ingrijpende afwijking in functionaliteit van de basisversie die door de hoofdentwickelaars wordt geleverd.
In de discussie wijzen voorstanders van de wijziging erop dat elke opgenomen plugin potentieel leidt tot extra risico's van kwetsbaarheden of het inbrengen van een backdoor. Bovendien wordt opgemerkt dat het verkorte pakket alleen is geplaatst in de unstable en testing repositories, die zijn bedoeld voor testdoeleinden, en niet in de stabiele releases van de distributie.
De ontwikkelaars van KeePassXC hebben verklaard dat het gebruik van de term plugins voor externe aanvullende functionaliteiten onjuist is, omdat het ingebouwde functionaliteit betreft die standaard is uitgeschakeld, maar door de gebruiker in de instellingen kan worden geactiveerd. Het verwijt dat externe bibliotheken worden verwijderd, wordt ook als ongegrond beschouwd, aangezien de code ter ondersteuning van Yubikey niet langer afhankelijk is van de externe bibliotheek libyuibkey en alle noodzakelijke componenten voor de werking ervan worden in de hoofdcodebase van KeePassXC meegeleverd.
Bron: opennet.ru
